Mein Rechner wird immer langsamer, was bedeutet Hijack-Log?

[svister]

Hi, das Problem hatte ich schon mal, beim letzten Mal per Neuinstallation gelöst. Das will ich aber eigentlich nicht alle 8 Wochen machen... Mien Verdacht ist ja das sich irgendwas bei mir eingenistet hat, aber mein Virenscanner checkts nicht. (Kasparsky). Naja aus dem Hijack Log werde ich nicht schlau. Kann mir jemand sagen was es damit auf sich hat?

Logfile of HijackThis v1.98.2
Scan saved at 18:24:54, on 10.09.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe
C:\Programme\Deerfield.com\VisNetic Firewall\DFW.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpm.exe
C:\WINDOWS\System32\atiptaxx.exe
C:\Programme\Apoint\Apoint.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Apoint\Apntex.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe
C:\Programme\UltimateZip\uzqkst.exe
C:\Programme\eMule\emule.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Downloads\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.club-vaio.sony-europe.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint\Apoint.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [Realtime Audio Engine] mmrtkrnl.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [OfficeGuard RegChecker] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\ogrc.exe"
O4 - HKLM\..\Run: [AVPCC] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe" /wait
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - Startup: UltimateZip Quick Start.lnk = C:\Programme\UltimateZip\uzqkst.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O14 - IERESET.INF: START_PAGE_URL=http://www.club-vaio.sony-europe.com
O15 - Trusted Zone: *.Sony-europe.com
O15 - Trusted Zone: *.Sonystyle-europe.com

, Sven

[Nikita]

Hallo @svister

#Wiederherstellung deaktivieren
http://service1.symantec.com/SUPPORT/IN ... 7105707924

#fixe mit dem HijackThis, dann neustarten
O4 - HKLM\..\Run: [Realtime Audio Engine] mmrtkrnl.exe

neustarten
................................................................................................................
#Ueberpruefe mit Kaspersky<mmrtkrnl.exe<
http://www.kaspersky.com/remoteviruschk.html

#Stinger
http://vil.nai.com/vil/stinger/

#Loesche ALLE Dateien und leere ALLE Ordner:
(nicht die Ordner selbst loeschen !)
1) Start --> Ausfuehren --> typ ein: %systemroot%/temp
2) Start --> Ausfuehren --> typ ein: %temp%

#Online Virenscan kostenlos
http://www.johannrain-softwareentwicklu ... nsuche.htm

#Deinstalliere den Kaspersky, lade ihn neu und scanne im abgesicherten Modus
http://www.bsi.de/av/texte/winsave.htm

Dann poste das Log noch mal.

mfg
Nikita

[svister]

hi nikita,
herzlichen dank erstmal für die hilfe, ich werde das jetzt mal durchexerzieren, melde mich dann wieder...
grüße, sven

[svister]

der punkt mit lösche alle dateien ist mir nicht so ganz klar. was lösche ich da?

[Nikita]

Wenn du in Start<Ausfuehren%temp% kommst, findest du Dateien und ordner.
Die Dateien loeschst du, dann klickst du die Ordner an und loescht (in den Ordnern) ebenfalls die Dateien (nicht die Ordner selbst.)

Unter WindowsXP beobachte und lösche ich folgende Verzeichnisse / Dateien regelmäßig.
C:\Dokumente und Einstellungen\Default User\Cookies\*.*
C:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temp\*.*
C:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temporary Internet Files\*.*
C:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temporary Internet Files\Content.IE5\*.*
C:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Verlauf\*.*
C:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Verlauf\History.IE5\*.*
C:\Dokumente und Einstellungen\Default User\Recent\*.*
C:\Dokumente und Einstellungen\Username\Cookies\*.*
C:\Dokumente und Einstellungen\Username\Lokale Einstellungen\Temp\*.*
C:\Dokumente und Einstellungen\Username\Lokale Einstellungen\Temporary Internet Files\*.*
C:\Dokumente und Einstellungen\Username\Lokale Einstellungen\Verlauf\*.*
C:\Dokumente und Einstellungen\Username\Recent\*.*
C:\Dokumente und Einstellungen\LocalService\Cookies
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temp\*.*
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\*.*
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\*.*
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Verlauf\*.*
C:\D앯kumente und Einstellungen\LocalService\Lokale Einstellungen\Verlauf\History.IE5\*.*
C:\Dokumente und Einstellungen\NetworkService\Cookies\*.*
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Temp\*.*
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Temporary Internet Files\*.*
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\*.*
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\4XEZWTUZ\*.*
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Verlauf\History.IE5\*.*
C:\WINDOWS\Internet Logs\*.txt ( Alle Textdateien )

Das sind alles temporaere Dateien, und man sollte diese Saeuberung ab und zu durchfuehren, vor allem, wenn der PC verseucht ist.

mfg
Nikita

[svister]

hi nikita,

so jetzt habe ich deine liste abgehakt.
der kav-scan hat folgendes ergebnis gebracht:

Master Boot Record of HDD1 Entry #2 I/O Error
Master Boot Record of HDD1 Entry #2 I/O Error
Master Boot Record of HDD2 Read access denied
Master Boot Record of HDD3 Read access denied
Master Boot Record of HDD4 Read access denied
Master Boot Record of HDD5 Read access denied
Master Boot Record of HDD6 Read access denied
Master Boot Record of HDD7 Read access denied
Master Boot Record of HDD8 Read access denied
Master Boot Record of HDD9 Read access denied
Master Boot Record of HDD10 Read access denied
Master Boot Record of HDD11 Read access denied
Master Boot Record of HDD12 Read access denied
Master Boot Record of HDD13 Read access denied
Master Boot Record of HDD14 Read access denied
Master Boot Record of HDD15 Read access denied
Master Boot Record of HDD16 Read access denied
C:\pagefile.sys Read access denied
C:\WINDOWS\system32\config\SAM.LOG Read access denied
C:\WINDOWS\system32\config\SECURITY.LOG Read access denied
C:\WINDOWS\system32\config\SYSTEM Read access denied
C:\WINDOWS\system32\config\SOFTWARE Read access denied C:\WINDOWS\system32\config\DEFAULT Read access denied
C:\Dokumente und Einstellungen\All users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\AlexaRelated.zip/related.htm Password protected
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\AlexaRelated.zip/sbRecovery.ini Password protected
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit.zip/sbRecovery.reg Password protected
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit1.zip/sbRecovery.reg Password protected
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit1.zip/sbRecovery.ini Password protected
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit2.zip/sbRecovery.reg Password protected
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit2.zip/sbRecovery.ini Password protected
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit3.zip/sbRecovery.reg Password protected
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit3.zip/sbRecovery.ini Password protected
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit4.zip/sbRecovery.reg Password protected
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit4.zip/sbRecovery.ini Password protected
C:\Dokumente und Einstellungen\Sven\NTUSER.DAT Read access denied
C:\Dokumente und Einstellungen\Sven\ntuser.dat.LOG Read access denied
C:\Dokumente und Einstellungen\Sven\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Read access denied
C:\Recycled\Dc49.dll Corrupted
C:\Recycled\Dc8413.ocx Corrupted

und das war das hijack log:

Logfile of HijackThis v1.98.2
Scan saved at 15:17:07, on 12.09.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Downloads\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.club-vaio.sony-europe.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint\Apoint.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [OfficeGuard RegChecker] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\ogrc.exe"
O4 - HKLM\..\Run: [AVPCC] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe" /wait
O4 - Startup: UltimateZip Quick Start.lnk = C:\Programme\UltimateZip\uzqkst.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O14 - IERESET.INF: START_PAGE_URL=http://www.club-vaio.sony-europe.com
O15 - Trusted Zone: *.Sony-europe.com
O15 - Trusted Zone: *.Sonystyle-europe.com
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.johannrain-softwareentwicklu ... fender.cab



was meinst du?
mfg, sven

[Nikita]

Hallo@svister

Nun ja, deine Dienste sind ganz schoen zusammengeschrumpft....
Hast du sie alle deaktiviert ??? Oder was ist passiert ?????????????????

_________________________________________________________

das Beste ist, du scannst noch mal mit escan.

Lade den "eScan"
http://www.mwti.net/antivirus/free_utilities.asp
suche mit der Suchfunktion von Windows eine "kavupd.exe" und anklicken.(kann auch im Temporary-Ordner sein)
Start<Ausfuehren< %temp%
Es oeffnet sich ein DOS-Fenster und es wird ein Update ausgeführt (dauert ein bisschen)

#suche "mwav.exe und starte so den< eScan<. Alle Häkchen setzen und "Clean-Scan" klicken.

poste alles, was als <deleted< und <renamed< und <no action taken< gefunden wurde das neue Log vom HijackThis noch mal.

mfg
Nikita

[svister]

hallo,
nö, eigentlich habe ich nur deine anweisungen befolgt. vielleicht sind die dienste nicht im hijack log, weil ich da den rechner noch im angesicherten modus hatte?
grüsse, sven

[svister]

hallo nikita,
diese datei gibt es nicht bei mir, kann es sein, dass du die avpupd.exe meinst?
mfg, sven

[Nikita]

suche mit der Suchfunktion von Windows eine "kavupd.exe" und anklicken.(kann auch im Temporary-Ordner sein)
Start<Ausfuehren< %temp%

[svister]

hi@nikita,

hoffe du bist noch nicht total genervt von mir...
habe das file gefunden, weiß auch nicht warum die erste suche erfolglos war. der e-scan hat nichts gefunden, das hijack log ist wie folgt:
Logfile of HijackThis v1.98.2
Scan saved at 00:59:53, on 13.09.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe
C:\Programme\Deerfield.com\VisNetic Firewall\DFW.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpm.exe
C:\WINDOWS\System32\atiptaxx.exe
C:\Programme\Apoint\Apoint.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe
C:\Programme\UltimateZip\uzqkst.exe
C:\Programme\Apoint\Apntex.exe
C:\WINDOWS\explorer.exe
C:\Downloads\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.club-vaio.sony-europe.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint\Apoint.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [OfficeGuard RegChecker] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\ogrc.exe"
O4 - HKLM\..\Run: [AVPCC] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe" /wait
O4 - Startup: UltimateZip Quick Start.lnk = C:\Programme\UltimateZip\uzqkst.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O14 - IERESET.INF: START_PAGE_URL=http://www.club-vaio.sony-europe.com
O15 - Trusted Zone: *.Sony-europe.com
O15 - Trusted Zone: *.Sonystyle-europe.com
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.johannrain-softwareentwicklu ... fender.cab

und was meinst du?
grüße, sven

[Nikita]

Alles sauber

Gruss
Nikita

[svister]

hi nikita,

super, ich danke dir!! wie kann ich denn verhindern, dass es in zwei wochen wieder so aussieht? kein filesharing? eigentlich bilde ich mir ein einigermaßen vorsichtig zu sein, aber wie schon anfangs gesagt, diesmal ging es echt schnell mit der verseuchung...

dankbare grüsse von sven

ps.: warum machst du das eigentlich, so geduldig begriffsstutzigen fremden zu helfen?

[Nikita]

Hi @svister

#Wenn <filesharing< dann nur, wo du siehst, dass es auch von anderen akzeptiert wird , keine keys laden (das sind meistens Trojaner...)

#ALTERNATIVBROWSER : zum IE
<Firefox
http://firebird-browser.de/
<Opera
http://www.opera7.de/

#Wiederherstellung deaktivieren, booten, dann wieder aktivieren
http://service1.symantec.com/SUPPORT/IN ... 7105707924

#NT- Dienste sicher konfigurieren http://www.ntsvcfg.de/ oder www.dingens.org
# Mache einen Portscann-Online-check(Trojaner, offene Ports)
http://scan.sygatetech.com/
#.PC-Selbsttest
http://check.lfd.niedersachsen.de/start.php

#Falls du keinen Router hast:
<XP-Firewall aktivieren
http://www.dirks-computerecke.de/window ... rewall.htm
ODER:
<Personal Firewalls
http://www.joergkrusesweb.de/internet/s ... dex-2.html

#IE Spyad (ueber DOS)
http://www.pctipp.ch/downloads/dl/27634.asp
IE Spyad legt x-verschiedene unseriöse Webseiten direkt in die Eingeschränkte Zone des Internet Explorers.
Immer mehr Webseiten wollen Ihnen teuren Software-Schrott unterjubeln. Ob Spyware, Adware, billige Porno-Seiten oder teure Dialer - es gibt nichts, was unseriöse Gestalten nicht zum Kauf anbieten. Und da sie genau wissen, dass Sie nicht auf ihre luschen Angebote reinfallen, versuchen sie es mit Tricks.

#Mit RegCleaner die Autostarteintraege kontrollieren, und mit Haekchen setzen und booten aus dem Autostart nehmen (dort unter 04 im HijackThis, tragen sich viele Trojaner ein)
http://www.gschwarz.de/download.htm

z.B:
O4 - HKLM\..\Run: [Realtime Audio Engine] mmrtkrnl.exe
___________________________________________________-

NETSTAT
http://www.firool.de/netstatgui/
http://www.freeware.de/software/Downloa ... 15026.html
#Start-->>Ausführen-->>Netstat -a eingeben-->>Enter

Stelle doch zunächst einmal fest, welche Verbindungen in diesem Moment von Deinem Rechner zu anderen bestehen und welche Ports dabei verwendet werden. Eine Anzeige erhälst Du zwar auch offline, die Ausgabe wird jedoch realer und interessanter, wenn Du Dich zunächst ins Internet einwählst und einige Web-Seiten abrufst. Gib nun ein:

C:\>netstat –a (beschreibende) oder
C:\>netstat –an (numerische Portangabe)
Die Ausgabe von netstat -an sieht etwa so aus:
http://www.gurusheaven.de/security/trojan_horse.htm

mfg
Nikita

[svister]

ohhkay, danke! das wird ne weile dauern bis ich mich da durchgefuchst habe...
grüße, svister